Технічний захист інформації: що входить у ТЗІ і як він працює

Технічний захист інформації — це діяльність, спрямована на те, щоб інженерно-технічними заходами унеможливити витік, знищення чи блокування відомостей, а також порушення їхньої цілісності й режиму доступу до них.

Простими словами: галузь відповідає за те, щоб цінні дані не «зчитали» з обладнання, приміщення або лінії зв'язку — і щоб до них не дістався той, кому не можна. Перед нами окремий регульований напрям зі своїми нормативними документами, ліцензіями й процедурами оцінювання. Розберемо, як він улаштований і що змінилося за останній рік.

Чим ТЗІ ширший за звичну кібербезпеку

Коли кажуть «безпека», більшість уявляє паролі, антивірус і міжмережевий екран. Усе перелічене — цифровий периметр. Але відомості існують не лише як файли: вони звучать у переговорній, світяться на моніторі, «випромінюються» кабелем, тремтять шибкою під голос доповідача.

Саме ця фізика й перебуває під опікою галузі. Напрям охоплює те, чого не бачить жоден антивірус: стіни, вікна, кабелі, живлення, заземлення, побутову техніку у кабінеті керівника.

Показовий приклад. Компанія витратила бюджет на найкращий міжмережевий екран, а нараду проводить біля вікна, за яким — сусідня будівля з орендованими офісами. Цифровий периметр бездоганний. Голос — ні.

Історично напрям виріс із режимних завдань держави, і саме тому мова нормативних документів здається важкою. Але фізика однакова для всіх: шибка переговорної у комерційному офісі тремтить так само, як у міністерстві. Різниця тільки одна: для одних рішення приписані законом, для інших лишаються питанням власного ризику.

Контрольована зона: поняття, з якого все починається

Перше, що визначають фахівці, — контрольовану зону: територію, де унеможливлено неконтрольоване перебування сторонніх осіб і транспорту. Нею може бути поверх, будівля, огороджена ділянка.

Логіка проста: небезпечний той сигнал, який виходить за межі зони й доступний там для перехоплення. Тому одне й те саме обладнання на одному об'єкті потребує зашумлення, а на сусідньому — ні.

Радіус зони прямо впливає на кошторис. Чим ближче паркан до стіни, тим менше запасу «розсіювання» — і тим дорожчі рішення. Саме тому обстеження завжди передує закупівлі: інакше можна купити зайве або, навпаки, недостатнє.

Звідси й перше практичне питання до підрядника: де проходить межа зони і як її задокументовано. Якщо межу визначили «на око», усі подальші розрахунки втрачають сенс — а разом із ними й висновок оцінювача.

Канали витоку: як забирають дані, не заходячи до системи

Перша велика група загроз — коли нападник отримує потрібне, узагалі не торкаючись системи. Він користується фізичними явищами, які супроводжують обробку даних.

• Побічні електромагнітні випромінювання і наводки (ПЕМВН). Будь-яка техніка під час роботи випромінює. Кабель, монітор, принтер, процесор створюють сигнали, які можна перехопити поза контрольованою зоною й відновити з них зміст. Протидія — екранування, активне зашумлення, розрахунок зон.
• Акустичний канал. Голос поширюється повітрям: крізь двері, тамбури, щілини, вентиляційні шахти.
• Віброакустичний канал. Мова перетворюється на коливання конструкцій — шибок, стін, труб опалення. Ці коливання зчитують дистанційно.
• Акустоелектричний канал. Звук наводить слабкий електричний сигнал у сторонніх колах, що опинилися поруч: телефонна лінія, радіоточка, пожежна сигналізація, динамік. Так звичайний гучномовець стає мимовільним мікрофоном.
• Оптичний і візуальний канал. Монітор, повернений до вікна; документ на столі; знімок, зроблений із коридору.
• Закладні пристрої. Спеціально встановлені засоби негласного знімання — від радіомікрофона до підміненого блока живлення.
• Кола живлення й заземлення. Провід, що виходить за межі будівлі, теж є каналом.

Ключова ідея: жоден із цих шляхів не потребує від нападника ані логіна, ані вразливості у програмі.

Наскільки реальна загроза перехоплення

Тверезий погляд: відновити зміст із побічного випромінювання — справа не для сусіда з дешевим приймачем. Потрібні апаратура, підготовка й доступ до місця поруч. Тому такі загрози вносять у модель порушника вибірково — там, де ймовірний супротивник має і ресурс, і мотив.

Натомість акустика й оптика дешеві до непристойності: диктофон у кишені, смартфон на підвіконні, відчинена фрамуга. Саме тому режимні правила — хто заходить, що вносить, як провітрюють приміщення — дають більший приріст безпеки на гривню, ніж будь-яка «залізяка».

Несанкціонований доступ: друга половина завдання

Друга група загроз звичніша — несанкціонований доступ (НСД) і несанкціоновані дії. Хтось дістається до відомостей, обходячи встановлені правила, змінює, знищує або блокує їх.

Тут галузь перетинається з кібербезпекою, але дивиться під власним кутом. Питання не «чи стоїть антивірус», а чи реалізовано функціональні послуги безпеки: розмежування доступу, ідентифікація, автентифікація, реєстрація подій, контроль цілісності. Тобто не наявність продукту, а доведена властивість системи.

ТЗІ, КЗІ й кіберзахист: три різні контури

Три поняття, які постійно змішують у тендерних завданнях:

Маємо три різні нормативні контури з різними документами й різними регуляторними процедурами. Установа, яка вважає, що «зробила КСЗІ — отже, закрила все», зазвичай помиляється щонайменше на одному з них.

Як улаштований ТЗІ в Україні

Галузь тримається на кількох опорах.

Правова основа. Базовий документ — Положення про технічний захист інформації в Україні, затверджене Указом Президента № 1229/99. Воно визначає правові й організаційні засади, коло суб'єктів, повноваження органів. Поруч діє профільний закон «Про захист інформації в інформаційно-комунікаційних системах».

Нормативні документи системи ТЗІ (НД ТЗІ). Прикладний рівень: вимоги, порядки робіт, класифікатори, методики випробувань. Їх затверджують наказами Адміністрації Держспецзв'язку, і саме за ними працюють виконавці.

Регулятор. Держспецзв'язку формує політику галузі, веде ліцензування, оцінює засоби, здійснює державний контроль за станом захищеності.

Ліцензія. Надання послуг у галузі ТЗІ за переліком, який визначає Кабінет Міністрів, є ліцензованим видом господарської діяльності. Ліцензійні умови вимагають від виконавця фахівців із відповідною освітою, повірених засобів вимірювальної техніки, погоджених методик, іноді — власного атестованого приміщення. Перелік ліцензіатів опубліковано у відкритих даних, і звіряти його варто до підписання договору, а не після.

Оцінювання відповідності. Засоби й системи не можна просто «взяти й застосувати»: вони проходять сертифікацію або експертизу. Порядок останньої встановлює Положення про державну експертизу в сфері технічного захисту інформації (наказ Адміністрації Держспецзв'язку № 93 від 16.05.2007, оновлене у 2026 році). Які саме пристрої й програми дозволено застосовувати — розібрано у статті Засоби ТЗІ.

ОІД і КСЗІ: що з чим не плутати

Два поняття, які звучать схоже, а означають різне.

Комплекс на об'єкті інформаційної діяльності (ОІД). ОІД — будівля, приміщення, транспортний засіб, де циркулює інформація з обмеженим доступом (далі — ІзОД): переговорна, кабінет, серверна. Об'єкт спершу категоріюють, потім будують на ньому комплекс: екранування, зашумлення, контроль ліній, режимні правила. Підтвердження — атестація, акт якої реєструє Адміністрація Держспецзв'язку.

КСЗІ — комплексна система захисту інформації всередині самої системи, де дані обробляються. Тут важать не стіни, а клас системи, модель загроз, функціональні послуги безпеки. Докладний розбір — у матеріалі КСЗІ простими словами.

Одне не заміняє іншого. Установа цілком може потребувати обох: комплексу — для переговорної, окремого рішення — для системи, де лежать реєстри.

Простий приклад: реєстр на сервері атестованої серверної й наради керівництва поверхом вище — два різні предмети оцінювання, два різні набори документів, інколи два різні підрядники.

Що змінилося у 2025–2026 роках: від КСЗІ до авторизації з безпеки

Найважливіше, чого немає у більшості матеріалів мережі: модель підтвердження змінилася.

• Закон № 4336-IX від 27.03.2025 запровадив ризик-орієнтований підхід до кіберзахисту державних інформаційних ресурсів і об'єктів критичної інформаційної інфраструктури (ОКІІ).
• Постанова Кабінету Міністрів № 712 від 18.06.2025 затвердила два порядки: авторизації з безпеки систем і розроблення профілів безпеки.
• Профілі бувають базові (їх затверджує Адміністрація Держспецзв'язку — окремо для систем із відкритою й конфіденційною інформацією, окремо для службової), галузеві (їх ухвалює галузевий уповноважений орган) і цільові (їх розробляє власник системи під себе).
• Замість «статичного» атестата, отриманого раз на кілька років, з'явився цикл: базовий профіль → галузевий → цільовий → оцінювання реалізації → авторизаційний лист → включення до переліку авторизованих систем.

Хто оцінює. Реалізацію цільового профілю перевіряє оцінювач, який відповідає встановленим вимогам; результат подають авторизаційним листом, а систему вносять до переліку авторизованих. Підтвердження перестало бути одноразовою подією й перетворилося на стан, який треба тримати.

Як минув перехід. Роботи зі створення КСЗІ, розпочаті до набрання чинності постановою, завершували ще за старою процедурою — через експертизу, з подальшою авторизацією. Кінцева межа перехідного періоду — 18 червня 2026 року. Раніше видані документи відповідності доживають свій строк, після чого система переходить на авторизацію.

Чи означає такий перехід, що ТЗІ скасовано? Ні. Ліцензування, нормативні документи, канали витоку, категоріювання об'єктів, атестація комплексів, оцінювання засобів — усе перелічене працює. Змінився спосіб підтвердження захищеності саме систем: гнучкий цикл замість одноразового «паперу на роки».

Важливий нюанс: реформа стосується систем, а не приміщень. Порядок робіт на об'єктах інформаційної діяльності — категоріювання, комплекс, атестація — лишився без змін. Тож установа, яка торік атестувала переговорну, нічого переробляти не мусить: її документ живе за власними правилами.

Практичний наслідок простий. Якщо ви натрапили на статтю чи комерційну пропозицію, де кінцевою метою досі обіцяють «атестат КСЗІ», — джерело застаріло. Питайте, чим завершаться роботи: профілем і авторизаційним листом чи вчорашнім папером.

Що робити власникові системи з чинним атестатом

Паніки ситуація не потребує, послідовність дій така:

1. Знайти документ відповідності й подивитися строк його дії.
2. Оцінити, чи планується модернізація системи: суттєві зміни зазвичай означають перегляд рішень.
3. Звірити наявні рішення з базовим профілем, який відповідає видові відомостей у вашій системі.
4. Скласти перелік розбіжностей і послідовність їх усунення.
5. Готувати цільовий профіль і оцінювання завчасно, а не за місяць до кінця дії документа.

Організація та забезпечення заходів технічного захисту інформації: логіка робіт

Послідовність майже не залежить від того, за якою моделлю ви завершуєте роботи.

1. Визначити предмет. Скласти перелік відомостей, які закон вимагає захищати. Без цього кроку решта — навмання.
2. Обстежити. Оглянути приміщення й систему: середовища функціонування, суміжні лінії, реальні шляхи витоку.
3. Категоріювати чи класифікувати. Об'єкт отримує категорію, система — клас. Від цього залежить обсяг вимог.
4. Побудувати модель загроз і модель порушника. Хто, з якими можливостями й навіщо.
5. Обрати вимоги. За новою моделлю — сформувати цільовий профіль на базі базового й галузевого.
6. Спроєктувати й упровадити. Інженерні рішення, режимні правила, навчання персоналу.
7. Оцінити результат. Атестація комплексу на об'єкті; оцінювання й авторизація — для системи.
8. Супроводжувати. Переглядати модель загроз, контролювати зміни, повторювати оцінювання.

Найдорожча помилка — почати з шостого пункту: купити обладнання, а вже потім думати, від чого воно рятує.

Які документи має отримати замовник

Результат робіт — не пристрій на стіні, а папка. Замовник має побачити щонайменше:

• акт обстеження середовищ функціонування;
• акт категоріювання об'єкта (для ОІД);
• модель загроз і модель порушника;
• проєктні рішення й перелік застосованих засобів із документами відповідності;
• протоколи вимірювань із зазначенням приладів і дат їх повірки;
• підсумковий документ: акт атестації комплексу або авторизаційний лист системи;
• інструкції для персоналу й припис щодо порядку експлуатації.

Ще одна деталь: усі протоколи мають містити дату повірки приладів. Прострочений сертифікат повірки перетворює бездоганні вимірювання на папір без ваги — і виявляється така прикрість, як правило, вже на оцінюванні.

Якщо підрядник обіцяє «зробити все й віддати один папірець» — привід насторожитися: під час перевірки питатимуть саме проміжні документи.

Кого стосуються вимоги ТЗІ в Україні

Обов'язок виникає не в усіх. Вимоги адресовані насамперед тим, хто:

• є власником або розпорядником державних інформаційних ресурсів;
• обробляє ІзОД, вимога щодо захищеності якої встановлена законом (службову, конфіденційну, таємну);
• належить до органів влади, місцевого самоврядування, підприємств і установ публічного сектору;
• володіє об'єктами критичної інформаційної інфраструктури.

Правила обробки даних усередині самих систем докладніше розглянуто у матеріалі як захищають дані в АС та ІКС.

А от звичайній комерційній компанії, яка не має нічого з переліку вище, регуляторні вимоги галузі не адресовані. Її інструмент — добровільна система управління за ISO 27001: ті самі ризики, але без ліцензій, категорій і регуляторного оцінювання.

Від чого залежать строк і вартість робіт

Точну цифру не назве жоден чесний підрядник, поки не побачить об'єкт. Але чинники, які рухають кошторис, відомі наперед:

• Масштаб. Кількість приміщень і робочих місць, площа, поверховість, кількість вузлів системи.
• Категорія об'єкта й клас системи. Що вони вищі — то більший обов'язковий обсяг вимог, і торгуватися тут немає з ким.
• Радіус контрольованої зони. Тісний майданчик у щільній забудові дорожчий за окрему будівлю посеред ділянки.
• Кількість вимірювань. Кожен канал перевіряють приладами, а кожен протокол — виїзд, час і люди.
• Стан вихідної документації. Якщо схем мереж і планів приміщень немає, їх доведеться відновлювати — інколи саме тут ховається половина строку.
• Черги на погодження. Реєстрація підсумкових документів має власний ритм, який підрядник не пришвидшить.

Практична порада: просіть кошторис із розбивкою за етапами, а не одну суму «під ключ». Тоді видно, за що саме ви платите і що станеться, якщо обстеження виявить більше, ніж очікували.

Як обирати виконавця: п'ять питань

• Чи є у вас чинна ліцензія саме на ті види послуг, які нам потрібні?
• Хто виконуватиме роботи, що потребують окремих дозволів, — ви чи співвиконавці?
• Чим ви вимірюєте й коли востаннє повіряли прилади?
• Який перелік документів ми отримаємо на виході?
• Ви ведете нас до атестата чи до авторизаційного листа? Відповідь «до атестата» для нової системи — тривожний сигнал.

Чотири помилки, які коштують найдорожче

1. Вважати, що міжмережевий екран закриває канали витоку. Не закриває. Проти віброакустики й ПЕМВН цифрові засоби безсилі.
2. Купувати обладнання до обстеження. Пристрій без моделі загроз — просто витрата, яку не зарахують під час оцінювання.
3. Наймати виконавця без ліцензії. Результат робіт не визнають, гроші й час пропадуть.
4. Спиратися на матеріали 2023–2024 років. Вони описують модель, яка вже не діє для нових систем.